📄 الوصف (الإنجليزية)
AMSS++ version 4.31 contains a SQL injection vulnerability in the mail module's maildetail.php script through the 'id' parameter. Attackers can manipulate the 'id' parameter in /modules/mail/main/maildetail.php to inject malicious SQL queries and potentially access or modify database contents.
🤖 ملخص AI
CVE-2020-37141 is a SQL injection vulnerability in AMSS++ version 4.31 affecting the mail module's maildetail.php script. Attackers can manipulate the 'id' parameter to inject malicious SQL queries, potentially leading to unauthorized database access, data exfiltration, or modification. With a CVSS score of 8.2 and no exploit currently available, this represents a significant risk requiring immediate patching.
📄 الوصف (العربية)
🤖 التحليل الذكي آخر تحليل: Apr 25, 2026 17:57
🇸🇦 التأثير على المملكة العربية السعودية
This vulnerability poses significant risk to Saudi organizations using AMSS++ for email management, particularly in government agencies, financial institutions, and large enterprises. Government entities under NCA oversight and banking institutions regulated by SAMA are at elevated risk due to the sensitivity of email communications and potential data breach implications. Healthcare organizations and energy sector entities managing critical communications through AMSS++ could face operational disruption and compliance violations. The SQL injection vector could enable attackers to bypass authentication, access confidential correspondence, or manipulate audit logs.
🏢 القطاعات السعودية المتأثرة
Government
Banking
Healthcare
Energy
Telecommunications
Education
Large Enterprises
🎯 تقنيات MITRE ATT&CK
⚖️ درجة المخاطر السعودية (AI)
7.8
/ 10.0
🔧 Remediation Steps (English)
IMMEDIATE ACTIONS:
1. Identify all systems running AMSS++ version 4.31 and isolate affected mail servers from untrusted networks if possible
2. Review access logs for maildetail.php for suspicious 'id' parameter values containing SQL syntax characters (quotes, semicolons, UNION, SELECT, etc.)
3. Implement Web Application Firewall (WAF) rules to block requests containing SQL injection patterns to /modules/mail/main/maildetail.php
PATCHING:
4. Upgrade AMSS++ to the latest patched version immediately (patch availability confirmed)
5. Test patches in non-production environment before deployment
6. Apply patches during maintenance windows with rollback procedures ready
COMPENSATING CONTROLS (if immediate patching delayed):
7. Implement input validation at application level - whitelist numeric values for 'id' parameter
8. Use parameterized queries/prepared statements in maildetail.php
9. Apply principle of least privilege to database user accounts used by AMSS++
10. Enable SQL query logging and monitoring for anomalous patterns
DETECTION:
11. Monitor for HTTP requests to /modules/mail/main/maildetail.php with URL-encoded SQL keywords (%27, %22, UNION, SELECT, OR, AND)
12. Alert on database error messages in application logs indicating SQL syntax errors
13. Track unusual database query patterns from AMSS++ service account
🔧 خطوات المعالجة (العربية)
الإجراءات الفورية:
1. تحديد جميع الأنظمة التي تعمل بـ AMSS++ الإصدار 4.31 وعزل خوادم البريد المتأثرة عن الشبكات غير الموثوقة إن أمكن
2. مراجعة سجلات الوصول لـ maildetail.php عن قيم معامل 'id' المريبة التي تحتوي على أحرف بناء جملة SQL (علامات اقتباس، فواصل منقوطة، UNION، SELECT، إلخ)
3. تنفيذ قواعد جدار حماية تطبيقات الويب لحجب الطلبات التي تحتوي على أنماط حقن SQL إلى /modules/mail/main/maildetail.php
التصحيح:
4. ترقية AMSS++ إلى أحدث إصدار مصحح فوراً (توفر التصحيح مؤكد)
5. اختبار التصحيحات في بيئة غير الإنتاج قبل النشر
6. تطبيق التصحيحات خلال نوافذ الصيانة مع إجراءات التراجع جاهزة
الضوابط البديلة (إذا تأخر التصحيح الفوري):
7. تنفيذ التحقق من صحة المدخلات على مستوى التطبيق - قائمة بيضاء للقيم الرقمية لمعامل 'id'
8. استخدام الاستعلامات المعاملة/البيانات المحضرة في maildetail.php
9. تطبيق مبدأ أقل امتياز على حسابات مستخدمي قاعدة البيانات المستخدمة بواسطة AMSS++
10. تفعيل تسجيل وتراقبة استعلامات SQL للأنماط الشاذة
الكشف:
11. مراقبة طلبات HTTP إلى /modules/mail/main/maildetail.php مع كلمات مفتاحية SQL المشفرة بـ URL (%27، %22، UNION، SELECT، OR، AND)
12. التنبيه على رسائل خطأ قاعدة البيانات في سجلات التطبيق التي تشير إلى أخطاء بناء جملة SQL
13. تتبع أنماط استعلامات قاعدة البيانات غير العادية من حساب خدمة AMSS++
📋 خريطة الامتثال التنظيمي
🟢 NCA ECC 2024
A.14.2.1 - Secure development policy (input validation requirements)
A.14.2.5 - Secure development environment
A.12.6.1 - Management of technical vulnerabilities
A.12.2.1 - Monitoring of information systems
🔵 SAMA CSF
ID.RA-1 - Asset management and vulnerability identification
PR.DS-6 - Data integrity and authenticity
DE.CM-1 - Detection processes and tools
RS.RP-1 - Response planning
🟡 ISO 27001:2022
A.14.2.1 - Secure development policy
A.14.2.5 - Secure development environment
A.12.6.1 - Management of technical vulnerabilities
A.13.1.3 - Segregation of networks
🟣 PCI DSS v4.0.1
6.5.1 - Injection flaws prevention
6.2 - Security patches and updates
10.2 - User access logging and monitoring